15 Conseils de Sécurité VPS Pour Prévenir les Attaques sur Votre Serveur

Savoir comment sécuriser votre VPS Linux vous aidera à éviter diverses cybermenaces et attaques. Cependant, il ne s’agit pas d’une tâche qui se fait en une seule fois. En plus de suivre les meilleures pratiques de sécurité, vous devez aussi surveiller votre serveur privé virtuel en permanence.

Dans cette optique, nous allons plonger plus profondément dans la sécurité de Linux et ses faiblesses courantes. Nous aborderons également 15 conseils de sécurité pour prévenir les cyberattaques sur votre serveur virtuel.

Sécurité de Linux et faiblesses communes

Bien que Linux soit réputé pour son système sécurisé, il présente toutefois certaines vulnérabilités. Ainsi, de nombreuses menaces de sécurité peuvent endommager les données de votre serveur.

Examinons en détail la liste des menaces et des faiblesses les plus courantes :

• Les logiciels malveillants : désignent les logiciels intrusifs conçus intentionnellement pour nuire aux ordinateurs et à leurs systèmes d’exploitation. Ils se présentent sous de nombreuses formes, notamment de chevaux de Troie, de rançongiciels, de virus et de logiciels espions.
• L’attaque par reniflage : se produit lorsqu’un pirate utilise des renifleurs de paquets pour intercepter et extraire des données d’un réseau.
• L’attaque par force brute : est une méthode de piratage impliquant un pirate qui utilise la méthode des essais et des erreurs pour deviner les identifiants de connexion.
• L’injection SQL :  se produit lorsqu’un pirate exploite le code d’une application Web pour accéder à la base de données du serveur.
• Cross-site scripting (XSS) : représente une attaque côté client au cours de laquelle un pirate injecte un code malveillant dans des sites Web.
• L’absence de contrôle au niveau des fonctions : un serveur peut en être à l’origine en ne vérifiant pas correctement les droits d’accès, ce qui donne aux utilisateurs généraux des privilèges de type « root ».
• L’authentification casée :  est une usurpation d’identité qui se produit généralement en raison de données non cryptées, de mots de passe faibles ou de délais de session d’application mal définis.

Avant de mettre en œuvre toute mesure de sécurité, prenez conscience des éléments que vous aurez à surveiller. En voici quelques-uns :

• Sécurité de l’hébergement VPS
• Logiciel du serveur
• Connexion SSH
• Accès à la racine et logins
• Mots de passe et informations d’identification
• Pare-feu
• Connexion FTP
• Droits et privilèges des utilisateurs
• Journaux du serveur

15 conseils pour protéger la sécurité de votre serveur

Cette section contient 15 conseils de sécurité pour protéger votre hébergement VPS.

1. Recherchez la sécurisation de votre hébergement Web

L’hébergeur de votre choix doit disposer d’une infrastructure de sécurité solide et offrir une protection supplémentaire pour assurer la sécurité de votre serveur. Chez Hostinger, nous fournissons des modules de sécurité avancés pour protéger nos serveurs VPS, tels que mod_security, pare-feu, Suhosin PHP hardening, et PHP open_basedir protection.

En outre, Hostinger utilise la protection complète du serveur BitNinja et l’atténuation DDoS avancée intégrée pour améliorer la sécurité en général des serveurs VPS. En ce qui concerne les serveurs d’hébergement partagés, nous proposons le logiciel anti-malware Monarx.

En outre, l’hébergeur Hostinger propose des sauvegardes régulières automatisées et des instantanés en direct que vous pouvez utiliser pour restaurer immédiatement les sites Web en cas de panne.

2. Changez le port SSH par défaut pour une meilleure sécurisation

Si vous utilisez toujours le port 22 pour accéder à votre serveur virtuel via une connexion SSH, il y a de fortes chances que des tentatives de piratage se produisent. En effet, les attaquants peuvent scanner les ports ouverts pour effectuer des attaques par force brute et obtenir un accès à distance au serveur.

Pour la protection,nous vous recommandons d’utiliser un port différent pour SSH afin de protéger vos données contre les cyberattaques.

Voici comment modifier le port SSH :

1. Ouvrez Terminal et connectez-vous à SSH.
2. Modifiez le fichier de configuration du service en exécutant la commande suivante :

nano /etc/ssh/sshd_config 

3. Localisez la ligne qui indique Port 22.
4. Remplacez 22 par un nouveau numéro de port et supprimez #.
   

3. Enregistrez les modifications et quittez.
4. Redémarrez le service en insérant la commande suivante et en appuyant sur Entrez :
   

• Pour Debian et Ubuntu

service ssh restart 

• Pour CentOS et Red Hat Enterprise Linux (RHEL)

systemctl restart sshd.service

7. Enfin, essayez de vous connecter à SSH en utilisant le nouveau port.

3. Désactiver les connexions de la racine

Chaque VPS Linux possède un utilisateur racine qui a le plus de privilèges par rapport aux autres utilisateurs du système. Les cybercriminels peuvent les cibler pour obtenir un accès complet au serveur.

Par conséquent, il est essentiel de désactiver les connexions de l’utilisateur racine pour protéger votre serveur contre les attaques par force brute. Nous vous recommandons également de créer un autre nom d’utilisateur ayant le privilège d’exécuter des commandes de niveau racine.

Suivez les étapes ci-dessous pour désactiver les connexions de l’utilisateur racine:

1. Ouvrez Terminal et connectez-vous à votre compte SSH.
2. Pour ouvrir et modifier le fichier de configuration, exécutez la commande suivante en utilisant nano ou vi :

nano /etc/ssh/sshd_config

3. Trouvez le paramètre suivant et changez-le en no :

PermitRootLogin=no

4. Enregistrez les modifications et redémarrez le service SSH en exécutant la commande suivante :

• Pour Debian et Ubuntu

  service ssh restart   

• Pour CentOS et Red Hat Enterprise Linux (RHEL)

  systemctl restart sshd.service

5. Cela désactivera la connexion de l’utilisateur racine.

4. Utilisez des mots de passe forts

Les mots de passe contenant des informations liées à votre identité ou de simples phrases de passe sont faciles à deviner. Par conséquent, créez un mot de passe long et fort qui doit comporter plusieurs éléments. Il s’agit de lettres minuscules et majuscules, de chiffres et de caractères spéciaux. Ce faisant, vous protégerez votre système contre les attaques par force brute.

En outre, ne réutilisez pas le même mot de passe.

Vous pouvez également utiliser des outils en ligne tels que NordPass ou LastPass pour créer des mots de passe forts. Tous deux proposent des options de personnalisation, comme la limitation de la longueur du mot de passe et de l’utilisation de caractères.

5. Commencez à utiliser des clés SSH

Si vous utilisez toujours un mot de passe pour vous connecter à votre compte SSH, vous pouvez devenir la cible d’attaques par reniflage. Pour éviter cela, utilisez plutôt des clés SSH. En fait, les clés SSH sont une méthode d’authentification plus sûre que les mots de passe.

Comme les ordinateurs génèrent ces clés, leur longueur peut atteindre 4096 bits. Cela les rend plus longues et plus complexes qu’un simple mot de passe.

Les clés SSH se présentent sous deux formes : publique et privée. La première est enregistrée sur le serveur tandis que la seconde est stockée sur la machine de l’utilisateur. Lorsqu’une tentative de connexion est détectée, le serveur génère une chaîne aléatoire et la crypte avec une clé publique. Le message crypté ne peut être décrypté qu’à l’aide de la clé privée associée.

Voici comment générer une clé SSH sur un serveur Linux :

1. Ouvrez l’application Terminal et connectez-vous à SSH.
2. Pour générer des clés publiques et privées, tapez la commande suivante et appuyez sur Enter :

ssh-keygen -t rsa

3. Lorsqu’une réponse apparaît, appuyez sur Entrer:
   

Enter file in which to save the key (/root/.ssh/id_rsa):

4. Il vous sera demandé de saisir une phrase de passe à deux reprises. Si vous ne l’avez pas, vous pouvez appuyer deux fois sur Enter :

Enter passphrase (empty for no passphrase):

Enter same passphrase again:

5. Vos clés privées et publiques sont maintenant enregistrées avec succès.

6. Configurer un pare-feu interne (tables IP)

Comme le trafic HTTP peut provenir de n’importe où, il est essentiel de le filtrer pour s’assurer que seuls les visiteurs ayant une excellente réputation peuvent accéder à votre système. Cela vous aidera à éviter le trafic indésirable et les attaques DDoS.

Les distributions Linux sont livrées avec un service de pare-feu interne appelé iptable. Cet outil surveille le trafic en provenance et à destination de votre serveur à l’aide de tableaux. Il utilise des règles appelées chaînes pour filtrer les paquets de données entrants et sortants.

Grâce à lui, vous pouvez ajuster les restrictions du pare-feu en fonction de vos besoins. Voici comment installer et vérifier la configuration actuelle d’iptables sur Ubuntu :

1. Ouvrez Terminal et connectez-vous en SSH.
2. Installez iptables en exécutant la commande suivante :

sudo apt-get install iptables

3. Une fois l’installation terminée, tapez la commande suivante et appuyez sur Entrez :

sudo iptables -L -v

4. La sortie comprendra une liste de toutes les règles dans un format détaillé.

7. Configurez votre pare-feu UFW

Nous vous recommandons d’activer le pare-feu Uncomplicated Firewall (UFW) comme couche supplémentaire pour contrôler le trafic entrant et sortant de votre système. Il s’agit d’un pare-feu netfilter conçu pour être facile à utiliser.

UFW fait office de frontal pour iptables et se trouve généralement préinstallé sur les distributions Linux. Le plus souvent, il refuse toutes les connexions entrantes et autorise les connexions sortantes. Cela réduit le risque de menaces potentielles. En outre, vous pouvez modifier et ajouter des règles au pare-feu en fonction de vos préférences.

Voici comment l’activer sur Ubuntu :

1. Ouvrez Terminal et connectez-vous via SSH.
2. Tapez la commande suivante pour activer UFW et appuyez sur Entrez :

sudo ufw enable

3. Si la réponse indique que la commande n’a pas été trouvée, installez le pare-feu à l’aide de cette commande :

sudo apt-get install ufw

4. Une fois l’installation terminée, exécutez la commande de l’étape 2 pour activer l’UFW.

5. Vérifiez l’état du pare-feu à l’aide de la commande suivante :

sudo ufw status

Vous pouvez également utiliser notre pare-feu intégré dans hPanel. Sélectionnez votre VPS et choisissez Pare-feu:

Créez ensuite une nouvelle configuration de pare-feu. Une fois créée, sélectionnez le bouton Modifier:

Enfin, créez des règles préférentielles:

8. Utilisez SFTP au lieu de FTP

Alors que les connexions FTP n’ont pas de cryptage activé, FTP over TLS (FTPS) ne crypte que les informations d’identification et non les transferts de fichiers.

Par conséquent, l’utilisation des deux connexions peut mettre vos données en danger. Les pirates peuvent facilement effectuer une attaque par reniflage pour voler vos informations d’identification et intercepter les transferts de fichiers.

Pour éviter cela, utilisez plutôt le FTP sur SSH ou SFTP. Il s’agit d’une connexion FTP sécurisée, car elle crypte entièrement toutes les données, y compris les informations d’identification et les fichiers transférés. En outre, SFTP protège les utilisateurs des attaques de type « man-in-the-middle », car le client doit être authentifié par le serveur avant d’accéder au système.

Suivez ces étapes pour configurer une connexion SFTP :

1. Ouvrez Terminal et connectez-vous à SSH.
2. Initiez une connexion SFTP en entrant cette commande et en appuyant sur Enter :

sftp user@server_ipaddress

ou

sftp utilisateur@remotehost_domainname

3. Si vous utilisez un port personnalisé, exécutez la commande suivante :

sftp -oPort=customport user@server_ipaddress

ou

sftp -oPort=customport utilisateur@remotehost_domainname

4. Une fois que vous êtes connecté, une invite SFTP apparaît.

9. Configurer Fail2Ban

Fail2Ban représente un logiciel qui surveille les journaux du système. En même temps, il bloque les pirates après plusieurs échecs de connexion. En outre, il protège les serveurs contre les attaques DoS, DDoS, par dictionnaire et par force brute. Fail2Ban utilise iptables et firewalld pour interdire les adresses IP.

Suivez les étapes ci-dessous pour configurer le progiciel Fail2Ban sur Ubuntu :

1. Ouvrez Terminal et démarrez une connexion SSH.
2. Installez le paquetage logiciel Fail2Ban en entrant la commande suivante et en appuyant sur Entrer :

sudo apt-get install fail2ban

3. La sortie suivante s’affiche. Tapez Y et appuyez sur Entrez.

Voulez-vous continuer ? [Y/n] y

4. Une fois l’installation terminée, vérifiez l’état en exécutant la commande suivante :

sudo systemctl status fail2ban

5. Le logiciel Fail2Ban devrait être actif et fonctionner.

10. Installez un antivirus

En plus de mettre en place un pare-feu pour filtrer le trafic entrant, pensez à surveiller les fichiers stockés sur votre VPS. Linux n’étant pas immunisé de manière innée contre les attaques de virus, des cybermenaces peuvent cibler vos serveurs et endommager vos données.

Il est donc essentiel d’installer un logiciel antivirus pour renforcer la sécurité. Il existe de nombreuses options disponibles. Mais la plus fiable est ClamAV. Il s’agit d’un logiciel libre qui permet de détecter les activités suspectes et de mettre en quarantaine les fichiers indésirables.

Suivez ces instructions pour installer ClamAV sur CentOS :

1. Ouvrez Terminal et connectez-vous à SSH.
2. Installez Extra Packages for Enterprise Linux (EPEL) en exécutant cette commande :

sudo yum -y install epel-release

3. La sortie Complete! signale que l’installation d’EPEL est terminée.

4. Effacez toutes les informations mises en cache en tapant la commande suivante et en appuyant sur Entrer :

sudo yum clean all

5. Installez ClamAV en exécutant la commande suivante :

sudo yum -y install clamav-server clamav-data clamav-update clamav-filesystem clamav clamav-scanner-systemd clamav-devel clamav-lib clamav-server-systemd.

6. Recherchez une autre ligne Complete! pour savoir quand l’installation est terminée.

7. ClamAV devrait maintenant être opérationnelle.

11. Configurer un VPN pour votre VPS

Si vous utilisez une connexion publique, il y a de fortes chances que quelqu’un puisse intercepter votre trafic et voler vos données.

Pour éviter cela, nous vous recommandons de configurer un VPN pour lutter contre les menaces de sécurité. Il acheminera votre trafic à travers un tunnel crypté et masquera votre emplacement réel puisque votre machine utilisera l’adresse IP du VPN. Cela vous permettra également de conserver l’anonymat lorsque vous naviguez sur Internet. En effet, votre IP ne sera pas traçable.

En bref, un VPN assure la sécurité de vos données et empêche les pirates d’intercepter votre trafic. Il fonctionne en parfaite collaboration avec un pare-feu pour fournir une sécurité supplémentaire au VPS. Il est aussi utile pour les hébergeurs de serveurs Minecraft.

Suivez ces étapes pour installer OpenVPN sur CentOS :

1. Ouvrez Terminal et connectez-vous avec SSH.
2. Installez le paquetage net-tools avant d’installer OpenVPN. Exécutez cette commande :

sudo yum install net-tools

3. Tapez la commande curl suivante pour télécharger le paquetage OpenVPN et appuyez sur Enter:

curl -O http://swupdate.openvpn.org/as/openvpn-as-2.7.3-CentOS7.x86_64.rpm  

4. Imprimez la somme de contrôle SHA256 pour valider l’installation en exécutant la commande suivante :

sha256sum openvpn-as-*

5. La sortie imprimera la somme de contrôle 

6. Comparez la somme de contrôle du binaire téléchargé avec celle fournie sur le site internet. Si elles correspondent, vous pouvez commencer à installer OpenVPN avec cette commande :

sudo rpm --install openvpn-as-*.rpm

7. Lorsque l’installation est terminée, vous obtiendrez les détails de l’interface d’administration et de l’interface client, comme indiqué ci-dessous :

8. Ensuite, configurez un mot de passe avec la commande suivante :

passwd openvpn

9. Il vous sera demandé de retaper le nouveau mot de passe.

10. Visitez l’interface utilisateur de l’administrateur ou du client pour accéder à l’écran ci-dessous :

11. Entrez le nom d’utilisateur openvpn et le mot de passe que vous venez de configurer et appuyez sur Sign In.

12. Examiner les droits des utilisateurs

Si de nombreux utilisateurs utilisent votre hébergement VPS, la distribution du contrôle et des droits doit être considérée avec attention. Fournir à tous les utilisateurs des privilèges de niveau racine peut mettre en danger l’utilisation de vos ressources et de vos données sensibles.

Par conséquent, vous devez fixer une limite d’accès pour éviter les problèmes sur votre serveur. Cela peut être fait en gérant les utilisateurs et en leur accordant différents niveaux de permissions pour des ensembles spécifiques de fichiers et de ressources.

Linux possède une fonctionnalité de privilèges système qui vous aidera à définir les droits des utilisateurs. Pour ce faire, créez un groupe pour les utilisateurs ayant les mêmes privilèges.

Voici comment gérer les utilisateurs et leurs privilèges sur Ubuntu grâce à ces commandes:

1. Ouvrez Terminal et connectez-vous via SSH.
2. Saisissez la commande suivante pour créer un groupe et appuyez sur Entrez :

sudo addgroup mon_groupe

3. Ensuite, créez un nouvel utilisateur en exécutant la commande suivante :

adduser premier_utilisateur

4. La sortie vous demandera de définir un mot de passe et de remplir les informations personnelles, telles que le nom complet, le numéro de chambre et le téléphone. Tapez Y et appuyez sur Entrez pour confirmer les informations saisies.

5. Pour ajouter un utilisateur à un groupe, exécutez la commande ci-dessous. Notez qu’elle ne produit aucune sortie.

sudo usermod -a -G group1,group2 first_user

6. Si vous voulez accorder l’accès racine à un utilisateur, exécutez la commande suivante. Gardez à l’esprit que cette commande ne produit pas non plus de résultat.

sudo usermod -aG sudo first_user

7. D’autre part, si vous avez un répertoire et que vous voulez y ajouter des privilèges de lecture et d’écriture, voici la syntaxe de base :

sudo chmod -R g+w /répertoire

13. Désactiver IPv6

L’activation d’IPv6 expose les vulnérabilités de sécurité et rend votre hébergement VPS vulnérable à diverses cyberattaques. Si vous ne l’utilisez pas activement, nous vous recommandons de le désactiver entièrement.

Les pirates envoient souvent du trafic malveillant via IPv6. Par conséquent, laisser le protocole ouvert peut exposer votre serveur à de nombreuses failles potentielles de sécurité. Même si vous n’utilisez pas activement IPv6, certains de vos programmes peuvent ouvrir des sockets d’écoute sur ce protocole. Par conséquent, chaque fois qu’un paquet arrive, ils le traiteront, y compris les paquets malveillants.

Suivez ces instructions pour désactiver IPv6 sur Ubuntu :

1. Ouvrez Terminal et connectez-vous à SSH.
2. Tapez la commande suivante pour désactiver IPv6 et appuyez sur Entrez :

sudo nano /etc/sysctl.d/99-sysctl.conf

3. Le fichier de configuration s’ouvre. Ajoutez les lignes suivantes en bas :

net.ipv6.conf.all.disable_ipv6 = 1

net.ipv6.conf.default.disable_ipv6 = 1

net.ipv6.conf.lo.disable_ipv6 = 1

4. Sauvegarder et fermer le fichier.
5. Ensuite, exécutez la commande suivante pour exécuter les modifications :

sudo sysctl -p

6. Enfin, insérez la commande suivante et appuyez sur Entrez. Si vous voyez 1, cela signifie que IPv6 a été désactivé avec succès.

cat /proc/sys/net/ipv6/conf/all/disable_ipv6

14. Surveillez les journaux de votre serveur web pour protéger votre site

La surveillance des journaux de votre serveur vous aidera à garder le contrôle de ce qui se passe avec votre hébergement VPS. Ces journaux peuvent également être utilisés dans des analyses et des rapports pour obtenir des informations détaillées sur l’état actuel du serveur.

Les journaux du serveur vous permettront de savoir si le serveur subit des cyberattaques ou d’autres menaces de sécurité. Plus vite ces vulnérabilités seront corrigées, moins les attaquants auront de possibilités pour intercepter des données.

L’un des répertoires critiques de votre système Linux s’appelle /var/log. Il stocke une collection de fichiers journaux qui contiennent des informations cruciales. Celles-ci se rapportent au système, au noyau, aux gestionnaires de paquets et aux diverses applications exécutées sur le serveur.

Voici comment ouvrir /var/log et vérifier les journaux du système sur un serveur Ubuntu :

1. Ouvrez Terminal et connectez-vous à SSH.
2. Exécutez la commande ci-dessous pour changer le répertoire de travail en /var/log. Gardez à l’esprit que cela ne produira aucune sortie.

cd /var/log

3. Pour lister tous les fichiers, insérez la commande suivante et appuyez sur Entrez :

ls

4. Pour vérifier les journaux du système, entrez la commande ci-dessous et appuyez sur Entrez :

sudo cat syslog

15. Mise à jour des applications

Plus le logiciel que votre VPS utilise est ancien, plus il est vulnérable. Les développeurs publient généralement et régulièrement des mises à jour et des correctifs de sécurité. Veillez à rechercher les dernières versions de vos logiciels et à les installer dès qu’elles sont disponibles.

Voici comment procéder sous Debian ou Ubuntu :

• Si vous mettez à jour la liste complète des paquets, exécutez la commande suivante :

sudo apt-get update

• Si vous mettez à jour le paquet actuel, saisissez cette commande et appuyez sur Entrez :

sudo apt-get upgrade

Suivez les étapes qui suivent pour le faire sur CentOS/RHEL :

• Pour rafraîchir la base de données des paquets et installer la mise à jour, saisissez cette commande et appuyez sur Entrez.

sudo yum update

• Pour vérifier s’il y a des mises à jour, insérez la commande suivante et appuyez sur Entrez.

sudo yum check-update

Nous vous recommandons d’automatiser ce processus en activant les mises à jour automatiques si vous utilisez un système de gestion de contenu (CMS) sur votre serveur. En outre, vous pouvez également créer des tâches cron, un utilitaire basé sur Linux permettant de planifier l’exécution d’une commande ou d’un script à une heure et une date précise.

La façon la plus pratique d’installer et d’exécuter une tâche cron sur CentOS ou RHEL est d’utiliser yum-cron. Il mettra automatiquement à jour le logiciel chaque fois qu’une nouvelle version sera publiée. Voici comment le configurer sous CentOS ou RHEL :

1. Ouvrez Terminal et connectez-vous via SSH.
2. Installez yum-cron en exécutant la commande suivante :

sudo yum install yum-cro

3. Activez le service en insérant la commande ci-dessous et en appuyant sur Entrez. Notez que cela ne produira aucune sortie.

sudo systemctl enable yum-cron.service

4. Démarrez le service en tapant la commande suivante et en cliquant sur Entrez. Gardez à l’esprit que cette commande ne produira pas de réponse.

sudo systemctl start yum-cron.service

5. Vérifiez l’état du service en exécutant cette commande :

sudo systemctl status yum-cron.service

6. Ouvrez le fichier de configuration avec la commande suivante :

sudo vi /etc/yum/yum-cron.conf

Trouvez la ligne suivante dans la sortie et remplacez no par yes. Enregistrez les modifications et quittez le fichier.

apply_updates = yes

Conclusion

Il est important de protéger et de garder votre VPS sécurisé à tout moment, d’autant plus qu’il stocke vos données et vos programmes sensibles.

Bien que Linux soit réputé pour sa sécurité robuste, il présente toujours des vulnérabilités auxquelles vous devez faire attention. Parmi les cyberattaques et les problèmes courants